Brotli Decoder Flaw Behind Node.js RCE Also Affects Bun, Python and Other Widely Used Software
The Hacker News · 24 oct, 10:45
Qué hacer: Actualiza Node.js a 22.23.4, 24.22.1 o 26.12.1; Bun a 1.4.4; Python Brotli y brotlicffi a 1.2.1; Envoy según versión; luego reinicia los servicios.
Un fallo de corrupción de memoria en el decodificador Brotli de Google (CVE-2026-111497) afecta a Node.js, Bun, Python, Envoy, Istio y otros programas ampliamente utilizados. El defecto permite que datos comprimidos malformados sobrescriban la memoria y ejecuten código arbitrario, y ha sido demostrado en Node.js sin que se reporten ataques en la naturaleza. Google y los mantenedores de software han publicado parches desde el 21 de octubre.
El fallo reside en el código C del decodificador Brotli de Google, que se replica en múltiples programas. Cada uno debe actualizar su propia copia del código. En Node.js, el riesgo surge cuando fetch() lee respuestas con Content-Encoding: br o cuando herramientas como Express y body-parser descomprimen cargas Brotli. En Bun, el peligro es similar con fetch() o el módulo node:zlib. Para Python, simplemente tener instalados los paquetes Brotli o brotlicffi expone la aplicación, ya que clientes HTTP como requests, urllib3, httpx y aiohttp descomponen automáticamente respuestas Brotli.
La investigación de Imperva demostró ejecución de código en Node.js 24.22.0 en Linux ARM64. Los equipos de seguridad de OpenAI lo reportaron y Google asignó CVSS 9.2 (crítico), aunque no hay explotación confirmada en la naturaleza. El parche aplicado fue integrado en el código fuente de Brotli en febrero, pero ninguna versión pública lo llevaba hasta octubre.
Puntos clave
- Afecta a Node.js 22.x, 24.x, 26.x; Bun 1.4.3 y anteriores; Python Brotli/brotlicffi 1.2.0 y anteriores; Envoy 1.39.2 e inferiores; Istio 1.31.1 y inferiores
- Actualizar a versiones fijadas: Node.js 22.23.4, 24.22.1, 26.12.1; Bun 1.4.4; Python Brotli 1.2.1; Envoy y Istio según tabla
- Reiniciar servicios y reconstruir imágenes contenedoras tras actualizar
- Sin explotación activa reportada; CISA registró exploración como 'ninguna' al 23 de octubre
- Mitigación temporal: rechazar requests con Content-Encoding: br o desinstalar paquetes Brotli en Python